LedgerのPascal Gauthier CEOと、倒産したMt. Gox取引所の元最高責任者であるMark Karpelèsは、10月17日にX上で公に批判を交わした。論争の中心は、推定9,000万ドルの暗号資産窃盗に関連する改ざん済みデバイスについて、ハードウェアウォレットメーカーが顧客にどれほど明確に警告していたかという点であり、東南アジアの第三者代理店を通じて流通した侵害済みLedgerデバイスの余波が続く中で発生した。

Karpelèsは、改ざんされたウォレットで発見されたスパイ用インプラントについて、Ledgerが購入者に十分な警告を行っていたかを疑問視した。Gauthierは同社のセキュリティ実績を擁護し、批判者に対して証明済みの事実と推測を区別するよう求めた。ハードウェアウォレットはユーザーの秘密鍵をオフラインで保管するよう設計されており、サプライチェーンの完全性が極めて重要となる。この一件は、販売段階での改ざんという特有のリスクを浮き彫りにしている。購入者が受け取るのは正規のデバイスだが、工場出荷後に改変されているのだ。

Correction: I said @Ledger didn't talk about the implant situation at all despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelèsは、より強力な警告があれば9,000万ドルを超える損失を回避できたと主張した。また、Ledgerがスパイ用ハードウェアインプラントの報告を2025年12月の時点で受け取っていたとも述べた。

これに対しGauthierは、Karpelèsの過去に言及する個人的な批判で応じた。「Coming from Mt Gox CEO… Come on man. You are no white knight. Get real(Mt GoxのCEOが言うとはな…おいおい、お前は白馬の騎士じゃないんだぞ。現実を見ろ)」と書いた。

かつて世界最大のBitcoin取引所だったMt. Goxは、2014年に大規模なBitcoin損失により倒産した。Karpelèsは、まさにその経験ゆえに、顧客資産を預かる企業にはより強固なセキュリティ関連の情報伝達を期待していると述べた。

Ledgerが公開した内容と時期

Karpelèsは、「Best Practices To Securely Buy Your Ledger Signer」と題するLedgerのセキュリティガイドを指摘した。Ledgerのウェブサイトでは、このガイドの初回公開日として2026年3月6日が記載されている。ガイドは、Ledger直接または正規代理店からのデバイス購入を推奨している。

ガイドは、偽造デバイス、リカバリーフレーズが事前設定された状態で出荷されるウォレット、工場出荷後に改変された正規デバイスを取り上げており、改変された回路基板の写真が含まれている。ページの最終更新は9月18日。3月版の保存コピーがないため、各写真や警告がいつ追加されたのかは不明である。

Ledgerは、影響を受けたCryptoBilisデバイスをいつ初めて把握したかを明らかにしていない。この非公開の時系列が論争の核心にある。両首脳の公けのやり取りから、同社が意図的に情報を隠蔽したことを示すものはない。

攻撃の仕組み

調査当局は、東南アジアの代理店CryptoBilisを通じて販売された正規のLedgerデバイス内部に、追加の電子部品が隠されているのを発見した。埋め込まれたハードウェアは、ウォレットのセットアップ中に24語のリカバリーフレーズを取得し、その後モバイル通信回線を通じて語句を送信できる。リカバリーフレーズはハードウェアウォレットのマスターバックアップとして機能するため、完全なフレーズを手にしたは、デバイスに触れることなく関連する資金にアクセスできる。

Ledgerによると、購入者がデバイス使用前に実行できる検証機能「Genuine Check」は、Secure Elementチップが本物であることのみを確認する。元のチップが取り付けられたままの場合、追加された部品を検出することはできない。同社は、Secure Element、オペレーティングシステム、署名プロセスは侵害されていないと述べた。10月9日、LedgerはCryptoBilisに対し販売と出荷の停止を要請した。

Galaxy Researchは10月16日、疑われる損失を約9,100万ドルと推定した。Ledgerは最終的な総額を確認しておらず、別の報道では損失は1億ドルを超えるとされた。

Ledgerは、過去90日以内にこの代理店から購入した顧客に対し、未使用のウォレットを初期化しないよう勧告した。すでに初期化した場合は、信頼できるデバイス上の新しいウォレットへ資金を移すよう指示した。

Karpelèsは、同様のインプラントが他の地域でも確認されており、自身もデバイスの検査をユーザーに手助けしてきたと述べている。Ledgerは、ドイツの事例を確認した後、ヨーロッパへの影響を示す報道に異議を唱えた。TrezorとOneKeyは第三者代理店を廃止し、流通チェックを強化している。これらの措置は、攻撃が露呈したのと同じ弱点を狙ったものだ。デバイスの元のチップが本物と検証された後は、通常のチェックではその周辺に追加されたハードウェアを検出できず、保証の重みが販売チャネルそのものにかかる。Ledgerは侵害は東南アジアに限られていると主張しているが、より広範囲に及んだとする見方もある。確定した損失総額と改ざんの地理的な全体範囲は、依然として確立されていない。